🇰🇷 한글 설명
ZUUSE BEIMS ContractorWeb .NET 5.18.0.0 버전에서 인증 없이 다양한 /UserManagement/ 권한 모듈에 접근할 수 있는 취약점이 발견되었습니다. 공격자는 이를 악용하여 사용자 세부 정보 수정과 같은 권한이 없는 작업을 수행할 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인도 관리자 페이지에 마음대로 들어가서 사용자 정보를 수정할 수 있는 보안 구멍이 발견되었습니다. 이로 인해 관리자 권한을 가진 것처럼 행동하여 시스템을 조작할 위험이 있습니다.
🇺🇸 원문 (English)
ZUUSE BEIMS ContractorWeb .NET 5.18.0.0 allows access to various /UserManagement/ privileged modules without authenticating the user; an attacker can misuse these functionalities to perform unauthorized actions, as demonstrated by Edit User Details.
📍 영향받는 시스템
ZUUSE BEIMS ContractorWeb .NET 5.18.0.0
⚔️ 공격 벡터
인증 절차를 우회하여 권한이 필요한 관리자 URL(/UserManagement/)에 직접 접근하는 방식
🛡️ 대응 방법
해당 소프트웨어를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 관리자 페이지에 대한 접근 제어 설정을 강화해야 합니다.
🔧 검증 코드
인증 없이 관리자 경로 접근 시 HTTP 200 OK 응답이 오면 취약한 상태이며, 401 또는 403 응답이 오면 안전한 상태입니다.
curl -I -s http://<target_ip>/UserManagement/ | grep -E 'HTTP/1.1 200 OK'